Het vermogen om niet alleen maar te denken in termen van wat een systeem allemaal voor nuttigs moet doen maar juist te denken aan wat het vooral niet moet doen (en bij elk securityprobleem doet een systeem iets wat niet de bedoeling is - en met "systeem" bedoel ik niet alleen de techniek, maar ook de organisatie en de mensen die daar deel van uitmaken). Onderschat niet hoe moeilijk dat is: wat een systeem wel moet doen is eigenlijk maar een heel beperkt, afgebakend geheel. Wat het allemaal niet moet doen en de manieren waarop dat toch zou kunnen gebeuren is eindeloos veel groter en ongrijpbaarder, omdat het gaat over alles waar het systeem niet over gaat. In mijn (al een poosje afgesloten) loopbaan als automatiseerder is me steevast opgevallen hoe sterk gebruikers, management én de meeste automatiseerders gericht zijn op wat de te bouwen informatiesystemen wél moeten doen, en hoe onnatuurlijk het kennelijk voor veel mensen is om te denken in termen van alles wat juist niet tot het doel van het systeem ...